暗号化を行わず暴露で脅す「ノーウェア・ランサム（No-ware Ransom）」の実態

【背景と概要】

長年、サイバー犯罪の代表格であった「ランサムウェア攻撃」は、端末やサーバーのデータを暗号化し、システムを復旧させるための「鍵」と引き換えに身代金を請求する手法でした。

しかし最近では、データを暗号化するプロセスを一切行わず、機密データや個人情報の「窃取・持ち出し（Exfiltration）」だけを行い、「金を支払わなければ盗み出したデータをダークウェブ上で一般公開する」と要求する「ノーウェア・ランサム（No-ware Ransom / Data-Only Extortion）」という新手の手口が急速に主流化しています。

【なぜ攻撃者は「暗号化」を捨てるのか】

攻撃者側のコスト・リスク計算において、暗号化を行わない方が「効率的」であるためです。

1. EDRやセキュリティツールの即時検知を回避できる

端末内の大量のファイルを短時間で暗号化する挙動は、現代のEDR（端末監視ソフト）によって最も高精度に「ランサムウェアの攻撃」として検知され、プロセスがブロックされます。一方、正常なWeb通信に紛れてデータを静かに持ち出す挙動は検知されにくく、成功率が高まります。

1. 「バックアップによる復旧」という企業の防御策が無効化される

企業側は不変バックアップ（WORMストレージ等）を準備することで暗号化攻撃に備えてきました。しかし、ノーウェア・ランサムにおいては自社にデータが残っているか否かは関係なく、「外部に情報が流出したか」のみが脅迫の材料となるため、企業のバックアップ防御策が無意味化します。

1. 攻撃インフラの簡略化

データを暗号化・復号するための複雑なプログラム（ランサムウェア本体）を開発・保持する必要がなく、窃取ツールと通信インフラだけで攻撃が完了するため、攻撃者側のハードルが下がります。

【被害企業が直面する致命的なビジネスリスク】

システム自体は正常に稼働していても、個人情報や技術データの流出リスクにより、個人情報保護委員会への届出義務、顧客への通知コスト、制裁金リスク、顧客からの損害賠償請求、そしてブランドイメージの深刻な低下に直面します。

【ノーウェア・ランサムに対抗する多層防御】

「システム復旧」から「データの外部持ち出し（Exfiltration）阻止」へ防御の軸足を移す必要があります。

1. データ流出防止（DLP）とCASBによるアップロード制限

社内PCやサーバーからの大量データのダウンロード、未許可クラウドストレージ（Dropboxや個人ドライブ等）へのデータ送信をリアルタイムで検知・遮断するDLP（Data Loss Prevention）を運用します。

1. データの常時暗号化（DRM/IRM）による無価値化

重要データファイルそのものを暗号化（IRM）し、許可されたユーザー以外は解読・閲覧できない状態を保ちます。万が一ファイルが外部に持ち出されても、攻撃者が中身を閲覧・リークできない状態（無価値化）を作ります。

1. NDR（ネットワーク挙動検知）による異常トラフィックの即時遮断

深夜時間帯などの通常業務外における「特定サーバーから外部の不審なIPアドレスへの大容量データ送信」をNDRツールで検知し、自動でセッションを切断する運用を構築します。